Die vier Risikoklassen des EU AI Act — einfach erklärt

1. Verbotene Praktiken (Art. 5)

Diese Anwendungen sind in der EU untersagt — unabhängig von Dokumentation oder Einwilligung. Dazu zählen unter anderem Social Scoring durch oder im Auftrag öffentlicher Stellen, manipulative Systeme, die das Verhalten zum Schaden von Personen unterschwellig beeinflussen, das ungezielte Auslesen von Gesichtsbildern aus dem Internet und Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen.

2. Hochrisiko-Systeme

Hochriskant sind Systeme, die in sensiblen Bereichen über Menschen mitentscheiden. Anhang III nennt unter anderem Beschäftigung und Personalauswahl, Zugang zu Bildung, Kreditwürdigkeitsprüfung, kritische Infrastruktur, Strafverfolgung und Migration. Hier greifen die vollen Pflichten: Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht und Robustheit.

• Beispiel: Ein KI-Tool, das Bewerbungen vorsortiert → hochriskant.
• Beispiel: Ein KI-Assistent, der interne Meeting-Protokolle zusammenfasst → in der Regel minimales Risiko.
• Beispiel: Ein Chatbot im Kundenservice → Transparenzpflicht, Nutzer müssen wissen, dass sie mit KI sprechen.

3. Transparenzpflichtige Systeme (Art. 50)

Chatbots, Deepfakes und KI-generierte Inhalte müssen als solche erkennbar sein. Wer synthetische Bilder, Audio oder Texte veröffentlicht, muss diese entsprechend kennzeichnen. Für die meisten KMU ist das die praktisch relevanteste Kategorie.

4. Minimales Risiko

Spamfilter, Rechtschreibkorrektur, Empfehlungslogik im Shop: Hier gelten keine besonderen Pflichten aus dem AI Act — die KI-Kompetenz nach Art. 4 und der Datenschutz gelten trotzdem.

Der häufigste Fehler in der Praxis

Unternehmen stufen nach Tool ein, nicht nach Einsatzzweck. Richtig ist: Jede Anwendung eines Systems wird separat bewertet. Ein und dasselbe Sprachmodell kann in der Textproduktion unkritisch und in der Bewerberauswahl hochriskant sein.